仮想化の“神”による四次元攻撃の危険性、ラック西本氏が指摘

　通信・放送、金融、エネルギー、公共交通機関、行政、医療、物流などの重要インフラ事業者と、それらのシステムを担当するベンダーらを対象とした「重要インフラ情報セキュリティフォーラム2010」が25日、秋葉原コンベンションホールで開催された。主催は、情報処理推進機構（IPA）とJPCERTコーディネーションセンター（JPCERT/CC）。

●企業のGumblar攻撃対策、まずやるべきはFTPの停止

ラック取締役常務執行役員／サイバーリスク総合研究所特別研究員の西本逸郎氏

　基調講演を行ったラック取締役常務執行役員／サイバーリスク総合研究所特別研究員の西本逸郎氏は冒頭、聴講者に配布したプレゼンテーション資料がまだ十分にまとまっておらず、中途半端な状態であると弁明。西本氏が多忙を極めるほど、最近のWeb改ざん被害が多発している状況を紹介した。

　西本氏は、いわゆる「Gumblar（ガンブラー）」攻撃によるサイト改ざん被害は、攻撃の「途中経過」に過ぎず、本当の脅威は、改ざんされたサイトの閲覧者がウイルスに感染することによる被害だと指摘。しかし、それがどのようなものかまだわかっておらず、仮に感染者の機密情報が窃取されたことによる金銭被害などが発生したとしても、サイト改ざんのように因果関係がわかりにくいという。こうした点も、攻撃者の狙いではないかとした。

　その一方で、企業にとって怖いのはやはり、ウイルス感染ではなく、サイトを改ざんされることだと説明。これらの攻撃への関心や対策が、いかにウイルスに感染しないようにするかに終始している点について、脅威の種類とその対策が整合していないのではないかと警鐘を鳴らす。西本氏によれば、まず最初に行うべき対策はFTPを止めることであり、ウイルス感染による情報漏えいについては、バックドアに使われるポートをふさぐなど、追って実行すべき対策があるとした。

　西本氏は、サイト改ざんによる企業への影響は、サイトを一時閉鎖するにとどまらず、閲覧者への対応はもちろん、取引先との信用問題や株価にまで発展したり、場合によっては基幹サービス停止の可能性もあると説明。「たかがサイト改ざん」だと表現しながらも、Gumblar攻撃によって事業に及ぼされる脅威のインパクトの大きさを強調した。

サイト改ざんで発生する事象や影響	Gumblar攻撃が多方面に与える影響

●仮想化サービスでは“管理者”がセキュリティ上の盲点？

　このほか西本氏は、昨今の仮想化の流行に関して、VPNや広域イーサ（仮想的イーサ）、仮想サーバー、仮想ストレージなど、「『仮想』が付いたサービスは、四次元攻撃が成立する」とも指摘する。これを説明するにあたり西本氏は、最近印象に残った2つのセキュリティ事件の事例を紹介した。

　まず1つは、あるIP-VPNサービスの利用企業においてウイルス感染が広まった事例だ。これは、同サービスを利用していたB社内でウイルス感染が発生し、IP-VPNで接続されているB社の複数拠点にとどまらず、同IP-VPNサービスを利用していたA社にまで感染が及んだというものだ。

　本来、IP-VPNは企業ごとに閉塞網になっているはずであり、それを超えて企業間でウイルス感染が起こるはずはないと考える。しかしこの事例では、サービスの稼動状況を監視しているIP-VPN事業者の管理ネットワークに感染したものが、他社にも広がったかたちだ。「専用サービスだと思っていることが盲点になっており、管理系統から火が回っている」。この事例は非常に単純なミスが原因だったらしいが、A社からしてみれば、自社専用だと思っていたネットワークから突然“四次元的な攻撃”を受けたことになる。「管理者はある意味“神様”だということを印象付ける事件だった」という。

　もう1つの事例は、仮想サーバーサービスを提供しているホスティング事業者における、Gumblar攻撃でのサイト改ざん事例だ。同サービスを利用しているA社内のPCがウイルスに感染、FTPアカウントを窃取され、当然、A社の仮想サーバーが改ざんされる。しかしそれにとどまらず、同一ホスティングサーバーにあった他社の仮想サーバーまで全滅したという。

　このように仮想サーバーが全滅するような原因について西本氏は、1）ホストコンピューター自身へのウイルス感染、2）ホスティングサーバーを一括管理する管理者PCへのウイルス感染、3）ホスティングサーバーの仮想ハブがリピーターレベルで稼働していたこと――という3つを挙げた。

　とばっちりを受けた他の企業に悪い点はなく、例えば3）については、「悪いのは、ホスティング事業者が仮想ハブをスイッチに設定していなかったこと」。西本氏は、サービスの利用企業からはそのホスティング事業者がどのレベルまで適切に設定してくれているのか見えにくく、そこに事業を依存している現状は問題だとした。

　西本氏は、仮想化サービスには管理者がおり、その管理者は何でもできる“神様”であると表現。サービス事業者の信頼性が重要となる反面、こうした性質について、利用企業が理解しつつも「徐々に慣らされている」とも指摘する。かつてアウトソーシングと言われた時代には厳格な契約を結んで行っていたのが、SaaSや、さらにクラウドと言われる時代になり、契約面やそのサービスがどのように稼働しているか想像もしなくなってきているという。西本氏は、仮想化が至るところで普及してくる過程で、仮想化サービスへの認識についてあらためて考える時期にきていると訴えた。

IP-VPNサービスにおけるウイルス感染の拡散事例	仮想ホスティング事業者における、Gumblar攻撃でのサイト改ざん事例